UNM Health przywraca systemy po cyberataku. Ambulanse omijały szpital przez dwie godziny

Szpital UNM i Sandoval Regional Medical Center pozostawały otwarte przez cały czas trwania incydentu, podało UNM Health. W poniedziałek 26 października od 12:30 do 14:30 system ograniczył przyjęcia nowych pacjentów i kierował ambulanse do placówek w Albuquerque i Santa Fe. Na resztę dnia zawiesił też operacje ambulatoryjne i wizyty.

O 14:30 zaczął etapami przywracać systemy. Do wtorku ruch ambulansów wrócił do normy, a poradnie wznowiły zaplanowane wizyty i zabiegi, podało UNM. Ocena wykazała, że zdarzenie objęło część urządzeń końcowych, ale nie przeniknęło do systemów kluczowych ani serwerów.

Jak przebiegał incydent

UNM Health wykryło włamanie do sieci około 11:30 w poniedziałek, podał Help Net Security, powołując się na wiadomość, którą administratorzy wysłali pracownikom. Około 40 minut później personel dostał polecenie wyłączenia i odłączenia od zasilania systemów komputerowych oraz wyłączenia Wi-Fi w urządzeniach mobilnych.

Health Sciences Center uruchomił centrum operacji kryzysowych i powiadomił stanowe oraz federalne służby ścigania, podało UNM. We wtorek odwołano zajęcia w School of Medicine, College of Nursing, College of Pharmacy i College of Population Health, a jednostki dydaktyczne i badawcze pozostały zamknięte. Pracownicy niezajmujący się obsługą krytyczną mieli zostać w domach.

Twierdzenia grupy ransomware

Grupa nazywająca się Byod przyznała się do ataku i podała, że naruszyła bezpieczeństwo 36 000 systemów na głównym kampusie UNM i w środowiskach szpitalnych, poinformował BleepingComputer. UNM nie potwierdziło tej liczby. Wpis na stronie wyciekowej wymieniał numery ubezpieczenia społecznego, dokumenty kadrowe i płacowe, dane studentów z systemu Banner, wewnętrzne e-maile, dane badawcze, dane o wizytach szpitalnych, informacje o pacjentach i listy z systemu Cerner EHR. Help Net Security zaznaczył, że twierdzenia pozostają niepotwierdzone.

We wtorkowym wpisie Byod zaoferowała darmowe klucze deszyfrujące dla zablokowanych maszyn w sektorze szpitalnym, obiecała do 2 500 dol. na dotkniętego pacjenta i zapowiedziała, że zatrzyma skradzione dane. „Mamy zasady i mamy serce, nie jesteśmy złoczyńcami”, napisała grupa. UNM oświadczyło, że „nie poszło na żadne ustępstwa wobec grupy stojącej za zagrożeniem”, podał Dexerto.

Byod jest nowa. Pojawiła się we wrześniu i na swojej stronie wyciekowej wymienia sześć ofiar, dla trzech z nich opublikowała dane. Grupy ransomware często zawyżają skalę tego, co przejęły, żeby skłonić ofiary do zapłaty, podał Medical Daily.

KOB 4 zdobyła fragment nagrania automatycznej wiadomości głosowej, która odtworzyła się na komputerach pracowników szpitala. Wiadomość wzywała administratorów do kontaktu z atakującymi przez Session i twierdziła, że grupa ma dane studentów, informacje umożliwiające identyfikację osób i numery ubezpieczenia społecznego. Urzędnicy nie potwierdzili tych twierdzeń.

Dlaczego dwugodzinne przekierowanie ambulansów ma znaczenie w całym stanie

Szpital UNM w Albuquerque mieści jedyny w stanie ośrodek urazowy I stopnia, najwyższy poziom leczenia najciężej rannych pacjentów, i jedyny w promieniu około 400 mil, podał Source NM. Gdy szpital przechodzi na tryb przekierowania, ratownicy muszą wieźć pacjentów do innych oddziałów ratunkowych. Te mogą musieć najpierw ustabilizować najcięższych chorych, a potem zorganizować transport.

System obsługuje ponad 1 mln wizyt pacjentów rocznie, podał BleepingComputer. UNM zapowiedziało, że pomoże pacjentom przełożyć nieodbyte wizyty.

Co pozostaje bez odpowiedzi

UNM twierdzi, że ma ograniczone możliwości informowania, bo sprawa jest nadal przedmiotem toczącego się śledztwa prowadzonego przez służby. Uczelnia nie podała, czy dane zostały skopiowane, ile osób może być poszkodowanych ani czy otrzymała żądanie okupu.